Cookie-Audit: Website auf Cookies prüfen, die vollständige Methode

Ein Cookie-Audit erfasst, klassifiziert und dokumentiert alle Cookies und Tracker, die Ihre Website tatsächlich setzt. Er ist der erste Schritt jeder DSGVO-Umsetzung: Wer nicht weiß, was die eigene Website wirklich tut, kann weder eine verlässliche Cookie-Richtlinie schreiben noch den Cookie-Banner korrekt konfigurieren oder bei einer Prüfung die Konformität nachweisen. Dieser Leitfaden zeigt die vollständige Methode, die Funktionsweise von Scannern, die passenden Tools, die Auswertung der Ergebnisse und die Fehler, die einen Audit wertlos machen.

Was ist ein Cookie-Audit?

Ein Cookie-Audit ist eine technische Bestandsaufnahme aller Cookies und Tracker, die beim Besuch Ihrer Website auf dem Endgerät gespeichert werden. Er umfasst First-Party-Cookies (von Ihrer eigenen Domain), Third-Party-Cookies (von eingebundenen Diensten wie Google Analytics, Meta Pixel, Chat-Tools oder Videoplayern) sowie vergleichbare Technologien wie Einträge in localStorage und sessionStorage oder Tracking-Pixel, für die dieselben Regeln gelten.

Eine Liste mit Cookie-Namen reicht nicht. Ein brauchbarer Audit beantwortet drei Fragen:

• Welche Tracker sind vorhanden? Name, Domain, Laufzeit und auslösendes Skript.
• Wer setzt sie? Ihre Website oder ein Drittanbieter, und zu welchem Zweck.
• Werden sie vor der Einwilligung blockiert? Nicht notwendige Tracker dürfen erst nach Zustimmung laufen.

Ein vollständiger Audit liefert die Liste der aktiven Cookies mit ihrer DSGVO-Kategorie (technisch notwendig, Statistik, Marketing, Personalisierung oder soziale Medien), eine Prüfung des Verhaltens vor der Einwilligung und nach einer Ablehnung sowie genug Dokumentation, um Ihre Cookie-Richtlinie zu erstellen und Anfragen einer Aufsichtsbehörde zu beantworten.

Warum sollten Sie die Cookies Ihrer Website prüfen?

Rechtliche Pflicht. DSGVO und ePrivacy-Richtlinie (in Deutschland umgesetzt im TDDDG) erlauben nicht notwendige Cookies nur nach Einwilligung. Wenn Sie nicht wissen, welche Cookies aktiv sind, können Sie die Einhaltung dieser Regel nicht garantieren. Den Maßstab setzen die Voraussetzungen einer wirksamen DSGVO-Einwilligung: Die Einwilligung muss vorliegen, bevor der Tracker läuft, und nur ein Audit zeigt, ob Ihre wirksam ist.

Korrekte Information. Ohne Audit ist nicht sichergestellt, dass Ihre Cookie-Richtlinie der Realität entspricht. Eine Abweichung zwischen dokumentierten und tatsächlich gesetzten Cookies verletzt die Informationspflicht der DSGVO.

Eine wirksame CMP. Eine Consent-Management-Plattform kann nur blockieren, was sie kennt. Jeder Dienst, der in ihrer Konfiguration fehlt, ist ein Tracker ohne Einwilligung. Zu den häufigsten Verstößen bei Prüfungen gehören Statistik- oder Werbeskripte, die schon beim Laden der Seite laufen, bevor der Besucher mit dem Cookie-Banner interagiert hat.

Nachweis bei einer Prüfung. Aufsichtsbehörden erwarten, dass Websitebetreiber genau wissen, welche Tracker auf ihrer Domain laufen. Ein aktuelles, datiertes Verzeichnis ist oft das erste angeforderte Dokument.

Wann sollten Sie einen Cookie-Audit durchführen?

Die Cookies einer Website ändern sich ständig. Jedes neue Drittanbieter-Skript (Analyse-Tool, Werbepixel, Chat-Widget, Videoplayer) kann unbemerkt neue Tracker mitbringen. Führen Sie einen Audit durch:

• bevor Sie eine CMP einrichten oder ersetzen;
• nach der Installation eines Plugins, einer App oder eines Drittanbieter-Skripts;
• beim Wechsel von Theme, Plattform oder Website-Baukasten;
• bei einem Relaunch;
• regelmäßig: alle 3 bis 6 Monate bei einer aktiven Website und nach jeder Änderung durch das Marketing.

Wie funktioniert ein Cookie-Scanner?

Ein Cookie-Scanner lädt Ihre Seiten in einem automatisierten (Headless-)Browser, simuliert einen Besucher und zeichnet alles auf, was im Browser gespeichert wird: beim ersten Laden, nach der Ausführung der Skripte und je nach Tool nach einer simulierten Zustimmung oder Ablehnung. Das Ergebnis ist ein Verzeichnis mit Name, Domain, wahrscheinlichem Zweck, Laufzeit und auslösendem Skript jedes Cookies.

Was der Scan erkennt

Ein guter Scanner erkennt First-Party-Cookies, Third-Party-Cookies (google-analytics.com, facebook.com, doubleclick.net usw.), Session-Cookies (beim Schließen des Browsers gelöscht), persistente Cookies (bis zum Ablauf gespeichert), Browser-Speicher und Tracking-Pixel. Außerdem markiert er Tracker, die vor der Einwilligung auslösen.

Grenzen eines automatischen Scans

Ein Scan deckt nicht 100 % der Fälle ab. Manche Cookies erscheinen nur auf bestimmten Wegen (Checkout, Mitgliederbereich, Conversion-Funnel), hinter einem Login oder für Besucher aus bestimmten Ländern. Ein gründlicher Audit kombiniert mehrere Scans mit einigen manuellen Prüfungen.

Inventar-Scan oder Scan mit verweigerter Einwilligung

Es gibt zwei Arten von Scans, und sie beantworten unterschiedliche Fragen. Ein Inventar-Scan lädt die Seite und listet auf, was er findet, oft nachdem er alles akzeptiert oder das Banner gar nicht berührt hat. Er zeigt, was auf der Website existiert. Ein Scan mit verweigerter Einwilligung klickt auf „Alle ablehnen“ (oder interagiert mit nichts) und zeichnet auf, was trotzdem läuft. Er zeigt, ob Ihr Banner respektiert wird, und genau das prüft eine Aufsichtsbehörde.

Der Unterschied ist nicht theoretisch. Bei Webflow oder Shopify zum Beispiel kann eine Google-Analytics-ID, die in den Website-Einstellungen oder in einer Vertriebskanal-App hinterlegt ist, Analytics am Banner vorbei laden. Ein Inventar-Scan meldet das GA-Cookie und macht weiter; ein Scan mit Ablehnung zeigt, dass es auch dann feuert, wenn der Besucher Nein gesagt hat. Für einen echten Audit brauchen Sie beide.

Was kein Browser-Scan sieht

Ein Scanner sieht nur, was im Browser passiert. Daten, die Ihr Server an ein Analyse- oder Werbetool sendet, etwa über einen serverseitigen Google-Tag-Manager-Container oder eine Conversions-API, tauchen in keiner Cookie-Liste auf und brauchen trotzdem eine Rechtsgrundlage. Unser Beitrag zu Server-Side Tagging und Einwilligung erklärt, wie Sie diese Datenflüsse in Ihren Audit aufnehmen. Auch cookielose Tools sind nicht automatisch ausgenommen: Siehe unseren Leitfaden zu Cookieless Analytics.

Welche Tools eignen sich für den Cookie-Audit?

Entwicklertools des Browsers. Chrome DevTools oder die Firefox-Entwicklerwerkzeuge zeigen die Cookies einer Seite (Tab Application > Cookies) und die gesendeten Anfragen (Tab Network). Ideal für eine schnelle Diagnose oder zur Bestätigung eines Befunds, aber jede Seite muss von Hand geprüft werden.

Browser-Erweiterungen. Erweiterungen wie Cookie Editor erleichtern das Anzeigen und Exportieren der Cookies einer Seite. Sie bleiben auf die Analyse Seite für Seite beschränkt.

Online-Scanner. Der kostenlose Cookie-Scanner von FlowConsent öffnet die eingegebene URL in einem echten Browser, erfasst jedes Cookie, jeden Speichereintrag, jedes Drittanbieter-Skript und jedes Tracking-Pixel und liefert in 1 bis 3 Minuten einen verständlichen Bericht: einen Datenschutz-Score von 100, jeden Dienst erkannt und eingeordnet sowie die Trennung zwischen einwilligungspflichtigen und technisch notwendigen Diensten. Starten Sie ihn für jede wichtige Seite Ihrer Website.

Checker der Anbieter. Die meisten Consent-Plattformen bieten einen kostenlosen Online-Checker an, etwa Cookiebot, CookieYes oder Termly. Für ein erstes Inventar sind sie nützlich, prüfen Sie aber, ob sie die Seite nach einer Ablehnung testen oder nur auflisten, was sie finden. Wenn Sie zunächst wissen möchten, was eine Consent-Plattform überhaupt leistet, lesen Sie, was eine Consent Management Platform (CMP) ist.

CMPs. Viele Consent-Management-Plattformen bieten Erkennungsfunktionen. In FlowConsent geht die Konformitätsprüfung einen Schritt weiter: Sie lädt Ihre Seiten mit abgelehnter Einwilligung und listet alles auf, was trotzdem läuft. Genau das prüft auch eine Aufsichtsbehörde.

So führen Sie einen Cookie-Audit durch: die vollständige Methode

Schritt 1: Eine saubere Testumgebung vorbereiten

Arbeiten Sie in einer Umgebung ohne Cookies: einem privaten Fenster oder einem eigenen Browserprofil ohne vorherige Cookies. So simulieren Sie einen Erstbesucher. Ein Audit mit einer Sitzung, die bereits Cookies und Einwilligungsentscheidungen enthält, verfälscht die Ergebnisse.

Schritt 2: Die wichtigsten Seiten scannen

Nicht jede Seite setzt dieselben Cookies. Prüfen Sie mindestens die Startseite, zwei oder drei Inhalts- oder Kategorieseiten, eine Produkt- oder Leistungsseite, die Kontakt- oder Formularseite sowie Warenkorb oder Checkout, falls vorhanden. Beziehen Sie Ihre Subdomains ein (app.beispiel.de, blog.beispiel.de): Jede kann eigene Cookies setzen. Überlassen Sie die Hauptarbeit einem Scanner und nutzen Sie die DevTools für gezielte Kontrollen.

Schritt 3: Jedes Cookie dokumentieren

Notieren Sie für jedes Cookie Name, setzende Domain (First-Party oder Third-Party), Speicherdauer (Session, 1 Tag, 13 Monate usw.), Zweck, zugehörigen Dienst und die Begründung für seinen Einsatz. Beachten Sie: Ein First-Party-Cookie kann von einem Drittanbieter-Skript gesetzt werden. Die Domain allein verrät nicht, wer es kontrolliert. Wenn Ihnen ein Name nichts sagt, helfen unsere Erklärungen zu den Cookies _ga, _gid und _gat und zu den Meta-Cookies _fbp und _fbc: Das sind die beiden Familien, die Ihnen am häufigsten begegnen.

Schritt 4: Nach DSGVO klassifizieren

Die Klassifizierung entscheidet, ob eine Einwilligung nötig ist:

• Technisch notwendig: Session, Warenkorb, Login, Speicherung der Einwilligungsentscheidung. Keine Einwilligung erforderlich.
• Statistik: Reichweitenmessung (GA4, Hotjar, Matomo in Standardkonfiguration). Einwilligung erforderlich.
• Marketing: Targeting, Retargeting, Conversion-Tracking (Meta Pixel, Google Ads, TikTok). Einwilligung erforderlich.
• Personalisierung und soziale Medien: Präferenzen, Teilen-Buttons, Widgets. Einwilligung erforderlich.

Unser Leitfaden zu den DSGVO-Cookie-Kategorien nennt Beispiele für jede Gruppe, und der Beitrag Was sind Cookies? frischt den Unterschied zwischen First-Party-, Third-Party-, Session- und persistenten Cookies auf.

Schritt 5: Verhalten vor der Einwilligung und nach der Ablehnung prüfen

Das ist der wichtigste Schritt. Öffnen Sie die Website in einem privaten Fenster und beobachten Sie, ohne den Banner anzuklicken, den Network-Tab und die Cookie-Liste: Erscheinen nicht notwendige Cookies oder Anfragen an Tracker-Domains, funktioniert die Skriptblockierung nicht. Das ist ein direkter Verstoß.

Klicken Sie anschließend auf „Ablehnen“ und rufen Sie einige Seiten auf. Es darf kein nicht notwendiges Cookie erscheinen, auch nicht auf der zweiten Seite: Eine schlecht gespeicherte Entscheidung führt oft genau dort zu einem Leck.

Schritt 6: Den Prüfbericht erstellen

Der Bericht enthält das Datum des Audits, die Liste der gescannten Seiten, die Cookie-Tabelle (Name, Domain, Dauer, Kategorie, Dienst, Einwilligung erforderlich), die festgestellten Verstöße (Cookies vor der Einwilligung, Cookies, die in der Richtlinie fehlen, zu lange Laufzeiten) und die Korrekturmaßnahmen. Bewahren Sie jede datierte Version auf: Diese Historie belegt Ihre Bemühungen um Konformität.

Wie werten Sie die Ergebnisse aus?

Das Rohverzeichnis wird erst durch die Analyse nützlich.

Laufzeiten prüfen. Die französische Aufsichtsbehörde CNIL empfiehlt für einwilligungspflichtige Tracker eine Laufzeit von höchstens 13 Monaten, ein in Europa verbreiteter Richtwert. Markieren Sie alles, was darüber liegt, und passen Sie es nach Möglichkeit an. Unser Leitfaden zur Cookie-Speicherdauer erläutert die Regeln.

Undokumentierte Cookies aufspüren. Manche Cookies gehören zu keinem Dienst, den Sie bewusst installiert haben. Sie stammen meist aus nachgeladenen Skripten: ein Chat-Widget, das ein Werbepixel lädt, oder ein Videoplayer mit eigenen Trackern.

Mit Ihrer Dokumentation abgleichen. Jedes aktive Cookie muss in Ihrer Cookie-Richtlinie und in der CMP-Konfiguration stehen, in der richtigen Kategorie.

Häufige Audit-Befunde und wie Sie sie beheben

In fast jedem Audit tauchen dieselben Dienste auf. Für jeden erklärt ein eigener Leitfaden die betroffenen Cookies und die konforme Einrichtung:

• Google Analytics 4: vor der Einwilligung geladen oder mit falsch konfiguriertem Consent Mode. Siehe ob Google Analytics DSGVO-konform ist und unseren Leitfaden zu Google Tag Manager und Consent Mode.
• Meta Pixel, TikTok Pixel, LinkedIn Insight Tag: Werbe-Tracker, die auf die Einwilligung warten müssen. Lesen Sie unsere Leitfäden zum Meta Pixel, zum TikTok Pixel und zum LinkedIn Pixel.
• Hotjar und Session Recording: oft von einem Produktteam installiert und dann vergessen. Siehe Hotjar und DSGVO.
• HubSpot und Marketing-Tools: Tracking-Code, der auf jeder Seite Cookies setzt. Siehe HubSpot-Cookies und DSGVO.
• Google Fonts und eingebettete YouTube-Videos: Sie setzen nicht immer Cookies, übermitteln aber beim Seitenaufruf die IP-Adresse des Besuchers an Google. Siehe das Google-Fonts-Risiko und YouTube nocookie.
• Matomo: kommt nur mit strenger Konfiguration ohne Einwilligung aus. Siehe ob Matomo ein Cookie-Banner braucht.

Auch Ihr Website-Baukasten bringt eigene Cookies und Integrationen mit. Unsere Plattform-Leitfäden behandeln die Besonderheiten von Webflow, WordPress, Shopify und Wix.

Vom Audit zum Nachweis: Konformität dokumentieren

Nach Art. 5 Abs. 2 DSGVO sind Sie für die Einhaltung verantwortlich und müssen sie nachweisen können (Rechenschaftspflicht), und Art. 7 Abs. 1 legt Ihnen die Beweislast für die Einwilligung auf. Ein Audit ist also nicht nur eine Diagnose, sondern ein Beweismittel. Drei Arten von Aufzeichnungen greifen ineinander:

• Der Auditbericht: das datierte Inventar, die geprüften Seiten, die Befunde und die Korrekturen. Er zeigt, was Ihre Website zu einem bestimmten Zeitpunkt getan hat.
• Der Nachweis jeder Einwilligung: Zeitstempel, pseudonyme Kennung, Auswahl pro Zweck und Banner-Version. Unser Leitfaden zum Nachweis der Cookie-Einwilligung erklärt, was Sie wie lange speichern sollten.
• Der Nachweis, dass die Ablehnung respektiert wird: ein Scan mit verweigerter Einwilligung, mit den beobachteten Anfragen und Cookies und einem Screenshot. Dieses Dokument fehlt den meisten Websites, und es beantwortet genau die Frage, die Aufsichtsbehörden stellen.

Bewahren Sie jede Version auf. Eine Historie von Audits mit gefundenen und behobenen Problemen wiegt mehr als ein einzelner sauberer Bericht vom Vortag einer Prüfung. Wenn Behörden einschreiten, nennen sie genau die Verstöße, die ein Audit aufdeckt: Cookies vor der Einwilligung, eine Ablehnung, die schwerer ist als die Zustimmung, Informationen, die nicht der Realität entsprechen. Unsere Übersicht der realen Cookie-Bußgelder der CNIL zeigt, wie oft diese Befunde wiederkehren.

Häufige Fehler beim Cookie-Audit

• Nur die Startseite scannen. Viele Tracker erscheinen erst auf Produkt-, Artikel- oder Checkout-Seiten.
• Mit einer Sitzung prüfen, die bereits Cookies enthält. Starten Sie immer im privaten Modus.
• First-Party und Third-Party verwechseln. Ein Drittanbieter-Skript kann First-Party-Cookies setzen.
• Subdomains vergessen. Der Audit muss die gesamte Domain abdecken.
• Verhalten vor der Einwilligung und nach der Ablehnung nicht testen. Das ist der wichtigste Konformitätstest.
• Einmal prüfen und nie wieder. Ein Plugin-Update kann ohne Vorwarnung Cookies hinzufügen.
• Ergebnisse nicht dokumentieren. Ein Audit ist nur etwas wert, wenn er datiert und archiviert ist.

Vom Audit zur Konformität: die nächsten Schritte

1. Aktualisieren Sie Ihre Cookie-Richtlinie mit dem vollständigen Verzeichnis: Name, Anbieter, Zweck und Laufzeit jedes Cookies. In FlowConsent wird die Cookie-Deklaration aus Ihren aktiven Diensten erzeugt, und eine Warnung listet Cookies auf, die ein Scan beobachtet hat, Ihr Banner aber nicht deklariert.
2. Konfigurieren Sie Ihre CMP so, dass nicht notwendige Skripte vor der Einwilligung blockiert werden, mit denselben Kategorien wie in Ihrem Audit.
3. Stimmen Sie den Google Consent Mode v2 ab. Wenn Sie Google-Tags nutzen, müssen die Einwilligungssignale Ihre Kategorien widerspiegeln. Lesen Sie unseren Leitfaden zur Implementierung des Consent Mode v2 und wie FlowConsent den Google Consent Mode umsetzt.
4. Entfernen oder ersetzen Sie nicht begründbare Cookies. Setzt ein Skript Cookies, die Sie nicht brauchen, entfernen Sie es oder wechseln Sie zu einer konformen Alternative.
5. Überwachen Sie kontinuierlich. Mit der kontinuierlichen Konformitätsüberwachung werden repräsentative Seiten automatisch erneut geprüft (standardmäßig alle 7 Tage), und Sie werden an dem Tag benachrichtigt, an dem eine konforme Seite zu lecken beginnt.

Checkliste für den Cookie-Audit

• Saubere Umgebung vorbereiten: privates Fenster oder eigenes Profil.
• Zu prüfende Seiten festlegen: Startseite, Inhalte, Produkt, Formular, Checkout, Subdomains.
• Jede Seite mit einem Scanner prüfen und mit den DevTools bestätigen.
• Jedes Cookie dokumentieren: Name, Domain, Dauer, Kategorie, Dienst.
• Nach DSGVO klassifizieren: technisch notwendig (ausgenommen) oder einwilligungspflichtig.
• Sicherstellen, dass vor der Einwilligung kein nicht notwendiges Cookie und kein Tracker auslöst.
• Verhalten nach der Ablehnung testen, auch auf einer zweiten Seite.
• Laufzeiten prüfen (höchstens 13 Monate für Tracker).
• Mit Cookie-Richtlinie und CMP-Konfiguration abgleichen.
• Undokumentierte Drittanbieter-Cookies identifizieren.
• Einen datierten Prüfbericht erstellen und archivieren.
• Den nächsten Audit planen (3 bis 6 Monate oder nach jeder Änderung der Website).

Ein Cookie-Audit dauert je nach Größe der Website zwischen 30 Minuten und einigen Stunden. Ohne verlässliches Inventar beruhen Cookie-Richtlinie, Banner und CMP-Konfiguration auf Annahmen; mit einem regelmäßigen Audit finden Sie undokumentierte Tracker, Cookies, die vor der Einwilligung feuern, und Lücken zwischen Dokumentation und Realität. Starten Sie den kostenlosen Cookie-Scanner für Ihre wichtigsten Seiten und erhalten Sie Ihr Inventar in wenigen Minuten.

Wie FlowConsent den Cookie-Audit umsetzt

FlowConsent deckt die drei Schritte des Audits ab. Der automatische Cookie-Scan füllt bei der Installation des Banners Ihre Dienste und Ihre Cookie-Liste vor, und die Cookie-Erklärung wird daraus erzeugt. Die Konformitätsprüfung lädt anschließend bis zu fünf repräsentative Seiten in einem echten Browser von Europa aus mit verweigerter Einwilligung und vergibt ein Urteil pro Seite: konform, Warnungen oder Verstöße. Cookielose Consent-Mode-Pings werden erkannt und nicht als Leck gezählt. Jede Prüfung wird mit Screenshot und Request-Protokoll archiviert und lässt sich als Nachweisbericht für Ihren Datenschutzbeauftragten oder einen Auditor drucken. Mit dem kontinuierlichen Monitoring werden Seiten standardmäßig alle 7 Tage erneut geprüft, und Sie werden am Tag einer Verschlechterung benachrichtigt.